Künstliche Intelligenz ist im regulierten Umfeld nur so gut, wie sie prüfbar ist. KI-Audits werden damit zum Lackmustest für Ihr AI-Management-System – intern wie extern.

1. Worum es bei KI-Audits wirklich geht

Ein KI-Audit prüft nicht nur ein einzelnes Modell, sondern die Wirksamkeit Ihres gesamten AI-Management-Systems: Strategie, Prozesse, Kontrollen, Rollen und Dokumentation. ISO 42001 liefert dafür den Rahmen für ein KI-Managementsystem, während ISO 19011 die Spielregeln beschreibt, wie Managementsysteme systematisch und risikoorientiert auditiert werden. Parallel greifen EU-AI-Act-Anforderungen, Datenschutzrecht, branchenspezifische Vorgaben und IT-Sicherheitsregeln, die Anforderungen an Nachweisbarkeit, Transparenz und Aufsicht definieren.

Der Kern: Ein KI-Audit beantwortet die Frage, ob Ihr Unternehmen KI nachvollziehbar, kontrolliert, sicher und verantwortungsvoll betreibt – und das belegbar.

2. ISO 42001 und ISO 19011: Das Duo im KI-Audit

ISO 42001 definiert Anforderungen an ein AI-Management-System: Politik, Ziele, Rollen, Risikomanagement, Dokumentation und operative Kontrollen, ergänzt durch Maßnahmen etwa zu Rollen, Policies und technischen Kontrollen. ISO 19011 beschreibt, wie Sie ein Auditprogramm planen und Audits durchführen – mit Grundsätzen wie Integrität, Unabhängigkeit, evidenzbasierter und risikoorientierter Vorgehensweise.

Praktisch bedeutet das:

• ISO 42001 sagt, was Sie im KI-Management aufgebaut haben sollten.
• ISO 19011 sagt, wie Sie es nachprüfbar auditieren – intern und als Basis für externe Audits.

Regulatorische Anforderungen wie EU AI Act, branchenspezifische Regelwerke oder Aufsichtserwartungen ergänzen dieses Duo und schärfen den Fokus auf Hochrisiko-Systeme, Dokumentation und menschliche Aufsicht.

3. Zentrale Maßnahmen vor jedem KI-Audit

Vor einem internen oder externen Audit sollten einige Grundpfeiler stabil sein. Die folgenden Maßnahmen heben sich bewusst von einer allgemeinen „KI-Implementierung“ ab und fokussieren auf Audit-Reife:

1. Auditkriterien, Scope und Ziele definieren
   • Scope: Welche KI-Systeme, Prozesse, Standorte und Organisationseinheiten fallen in das AI-Management-System und damit ins Audit, zum Beispiel nur Hochrisiko-Anwendungen oder die gesamte KI-Landschaft.
   • Kriterien: Kombination aus ISO 42001, internen Policies, gesetzlichen Vorgaben wie EU AI Act, Datenschutzrecht, branchenspezifischen Vorschriften sowie vertraglichen Anforderungen.
   • Ziele: Nachweis der Wirksamkeit von Governance, Risiko- und Compliance-Prozessen sowie Identifikation von Schwachstellen und Verbesserungsfeldern.
2. KI-Asset-Inventar und Landkarte erstellen
   • Vollständige Übersicht über KI-Assets: Modelle, Datenpipelines, Trainings- und Testdaten, Entscheidungsschnittstellen, genutzte Fremd- oder Cloud-KI.
   • Zuordnung zu Risiken und Regulatorik: Welche Systeme sind hochkritisch, wo bestehen besondere Datenschutz-, Sicherheits- oder Branchenanforderungen.
3. Auditfähige Dokumentation aufsetzen
   • Policy-Set: KI-Politik, Rollenbeschreibungen, Richtlinien zu Entwicklung, Betrieb, Monitoring, Incident-Handling und Stilllegung.
   • Systemdokumentation: Zweck, Datenquellen, Trainingsverfahren, Validierungsergebnisse, Modellversionen, bekannte Grenzen und Bias-Risiken.
   • Nachweise: Protokolle von Freigaben, Risikoanalysen, Monitoring-Reports, Korrekturmaßnahmen und Management-Bewertungen.
4. Risikobasierte Auditplanung nach ISO 19011
   • Auditprogramm am Risikoprofil ausrichten: Häufigkeit und Tiefe je nach Kritikalität der KI-Systeme und bisherigen Vorkommnissen.
   • Fokus auf Hochrisiko-Bereiche: Systeme mit erheblichem Kundenimpact, sensiblen Daten oder hoher regulatorischer Sichtbarkeit erhalten mehr Prüfaufwand.
   • Auswahl und Qualifikation der Auditoren: Unabhängigkeit vom operativen Betrieb, Kenntnisse in KI, Regulierung und Managementsystem-Audits.
5. Audit-Trails und Evidenzquellen sichern
   • Technische Logs: Nachvollziehbarkeit von Modellversionen, Eingaben und Ausgaben, Konfigurationen und Änderungen.
   • Prozessnachweise: Checklisten, Freigabeprotokolle, Risiko-Workshops, Schulungsnachweise, Lieferanten- und Dienstleisterbewertungen.
   • Struktur: Dokumente so aufbereiten, dass sie sowohl ISO-Anforderungen als auch EU-AI-Act- und Datenschutzanforderungen abdecken.

4. Grober Maßnahmenplan zur Auditvorbereitung

Der folgende Plan ist bewusst nicht vollständig, gibt aber eine solide Erststruktur, wie Sie sich auf KI-Audits vorbereiten können – intern wie extern.

1. Phase: Grundlage schaffen
   • Verantwortliche benennen: Verantwortliche für das Auditprogramm, interne KI-Auditoren, zentrale Ansprechpersonen für externe Auditoren.
   • Scope und Kriterien festlegen: Abbildung von ISO 42001, ISO 19011, EU AI Act, …
   • …
2. Phase: Dokumentation und Prozesse auditfest machen
   • Policies und Prozesse überprüfen: Passen KI-Policy, Risiko- und Compliance-Prozesse zu den Anforderungen aus ISO 42001 und der Regulierung.
   • Systemdokumentationen standardisieren: Eine einheitliche Vorlage …
   • Logging- und Monitoring-Konzept validieren
3. Phase: Internes Probelauf-Audit
   • Risikoorientierten Auditplan erstellen
   • Interviews, Dokumentenprüfungen und Stichproben mit Stakeholdern durchführen
   • Feststellungen klassifizieren: Abweichungen, Beobachtungen und …
4. Phase: Korrekturmaßnahmen und Management-Bewertung
   • Maßnahmenplan ableiten: Konkrete Aktionen mit Verantwortlichkeiten,…
   • Umsetzung nachverfolgen: Review-Schleifen und …
   • Management-Review: Ergebnisse und Risiken im Top-Management diskutieren…
5. Phase: Vorbereitung für externe Audits und Aufsichtsprüfungen
   • Audit-Dossier vorbereiten: Kompaktes Paket mit Beschreibung des …
   • Ansprechpartner und Ablauf planen: Klären, wer welche Fragen beantwortet, wie Nachweise bereitgestellt werden und wie Vor-Ort- oder Remote-Sessions organisiert sind.
   • Lessons Learned aus internen Audits nutzen: Typische Schwachstellen adressieren, bevor externe Stellen sie finden.

5. Blick über ISO hinaus: Weitere Anforderungen im Auge behalten

Neben ISO 42001 und ISO 19011 sollten Unternehmen weitere Regelwerke berücksichtigen, die KI-Audits prägen. Dazu gehören insbesondere der EU AI Act mit seinen Anforderungen an Hochrisiko-Systeme, technische Dokumentation, Nachvollziehbarkeit und menschliche Aufsicht. Ebenso spielen Datenschutzrecht mit Pflicht zur rechtmäßigen Datenverarbeitung, Datenminimierung und Betroffenenrechten sowie ggf. Datenschutz-Folgenabschätzungen eine zentrale Rolle. In regulierten Branchen kommen zusätzlich spezifische Vorgaben der Aufsichtsbehörden etwa im Finanz-, Gesundheits-, Energie- oder Telekommunikationssektor hinzu, ebenso wie Standards der Informationssicherheit und des Cloud- und Lieferantenmanagements.

Wer KI-Audits vorausschauend aufsetzt und diese Normen integriert, erreicht mehr als bloße formale Konformität: Es entsteht ein strukturiertes, belastbares KI-Betriebsmodell, das Prüfungen besteht – und dem Management verlässliche Transparenz über Chancen und Risiken der eigenen KI-Landschaft liefert.